SQL 인젝션 (SQL Injection)

SQL 인젝션(SQL Injection)은 사용자 입력값에 악의적인 SQL 구문을 섞어 넣어, 개발자가 의도하지 않은 쿼리를 데이터베이스에서 실행시키는 공격 기법이다. 입력값을 검증 없이 쿼리 문자열에 그대로 이어 붙일 때 발생하며, 인증 우회, 데이터 유출, 데이터 파괴까지 이어질 수 있는 대표적인 웹 취약점이다.

공격 원리

애플리케이션이 사용자 입력을 문자열 연결로 쿼리에 끼워 넣으면, 데이터베이스는 입력값과 SQL 문법을 구분하지 못한다. 로그인 쿼리를 예로 들면 다음과 같다.

-- 개발자가 의도한 쿼리 (입력을 문자열로 이어 붙인 경우)
SELECT * FROM users
WHERE username = '입력한 아이디' AND password = '입력한 비밀번호';

-- 아이디에 admin'-- 을 입력하면 실제 실행되는 쿼리
SELECT * FROM users
WHERE username = 'admin'--' AND password = '아무거나';

주석 기호 뒤의 비밀번호 검사 조건이 통째로 무시되어 비밀번호 없이 관리자로 로그인된다. 마찬가지로 ' OR '1'='1 같은 입력은 조건을 항상 참으로 만들어 전체 행을 반환하게 한다. 핵심은 데이터여야 할 입력이 코드로 해석된다는 점이다.

공격 유형

유니언 기반(Union-Based)

UNION 연산자로 공격자가 원하는 다른 테이블의 조회 결과를 원래 결과에 이어 붙여 화면에 노출시키는 방식이다. 게시글 목록을 보여 주는 쿼리에 UNION SELECT username, password FROM users를 주입해 계정 정보를 빼내는 식이다.

에러 기반(Error-Based)

일부러 오류를 유발해서, 오류 메시지에 포함되어 나오는 데이터베이스 구조나 데이터 조각을 수집하는 방식이다. 상세한 오류 메시지를 사용자에게 그대로 보여 주는 서비스에서 특히 위험하다.

블라인드(Blind)

쿼리 결과가 화면에 직접 나오지 않을 때, 참과 거짓에 따른 응답 차이나 응답 시간 차이로 데이터를 한 글자씩 추론하는 방식이다. 조건이 참일 때만 페이지가 정상 표시되는 불리언 기반(Boolean-Based)과, SLEEP 같은 지연 함수를 이용해 응답 시간으로 판별하는 시간 기반(Time-Based)이 있다. 느리지만 자동화 도구를 쓰면 데이터베이스 전체를 덤프할 수 있다.

가장 확실한 방어: 매개변수화된 쿼리

근본적인 해결책은 SQL 구문과 데이터를 처음부터 분리해서 전달하는 것이다. 준비된 문장(Prepared Statement)을 사용하면 쿼리의 구조가 먼저 컴파일되고 입력값은 바인딩 변수로 나중에 채워지므로, 입력에 어떤 SQL 문법이 들어 있어도 단순한 문자열 값으로만 취급된다.

-- 매개변수화된 쿼리: 물음표 자리에는 값만 바인딩된다
SELECT * FROM users WHERE username = ? AND password = ?;

자바(Java)의 PreparedStatement, JPA와 같은 ORM(Object-Relational Mapping)의 파라미터 바인딩, 마이바티스(MyBatis)의 #{} 표기가 모두 이 방식이다. 반대로 마이바티스의 ${}처럼 값을 문자열로 치환하는 문법은 주입 위험이 그대로 남으므로, 테이블명이나 정렬 컬럼처럼 바인딩이 불가능한 자리에 한해 화이트리스트(Whitelist) 검증과 함께만 써야 한다.